Agen Pengawas PDP Masih Belum Beroperasi: Peluang Menata Ulang Tata Kelola Data di Tengah Bayang-Bayang Penyadapan Ilegal

Jakarta — Polemik penyadapan ilegal yang menjerat pejabat negara kembali mempertanyakan satu hal mendasar: jika percakapan seorang kepala negara pun dikhawatirkan disadap tanpa izin, apa kabar data pribadi jutaan warga lain?

Pertanyaan itu menguat setelah Bareskrim Polri pada 3 November 2026 menetapkan tiga tersangka dalam perkara dugaan penyadapan tanpa izin terhadap Presiden, pejabat negara, dan sejumlah warga. Meski kasusnya masih harus dibuktikan dalam proses hukum, ada satu isu publik yang tak bisa diabaikan: siapa yang mengawasi para pemegang teknologi pengintaian itu?

Dari menyadap suara menjadi membaca data

Dalam praktik lama, penyadapan identik dengan mengintip percakapan. Kini, tanpa perlu mendengar satu kata pun, profil hidup seseorang bisa direkonstruksi dari jejak transaksi finansial, data lokasi, identitas digital, hingga aktivitas daring. Risiko pengawasan bergeser dari mendengarkan pembicaraan menjadi membaca data.

Dalam masyarakat digital, 'menara pengawas' klasik diganti oleh algoritma, metadata, dan sistem yang saling terhubung. Kemampuannya menganalisis data itu, bila dibiarkan tanpa kendali, bisa menciptakan ketimpangan kuasa di antara berbagai institusi. Di titik inilah negara tidak hanya dituntut mahir mengumpulkan data, tetapi juga mampu membatasi dirinya sendiri.

Coretax dan paradoks transparansi

Transformasi administrasi pajak melalui Coretax memperluas kebutuhan interoperabilitas data. Peraturan Menteri Keuangan Nomor 108 Tahun 2025, yang berlaku sejak 1 Januari 2026, memperbarui ketentuan akses informasi keuangan untuk keperluan perpajakan. Akses rekening berdasarkan undang-undang bukanlah penyadapan ilegal, dan keberadaan Coretax juga tidak otomatis berarti semua rekening diserahkan tanpa batas.

Namun, kian besar data yang dikelola, kian besar pula kewajiban keamanannya. Warga diminta transparan menurut hukum, tetapi sering kali tidak bisa melihat siapa yang mengakses data mereka, untuk tujuan apa, berapa lama disimpan, atau apakah digabungkan dengan basis data lain. Akses berlapis, pembatasan yang terukur, pencatatan jejak akses (audit trail), enkripsi, audit independen, dan sanksi atas penyalahgunaan seharusnya menjadi bagian tak terpisahkan dari arsitektur sistem — bukan sekadar janji yang muncul setelah insiden.

Kesenjangan pengawasan yang kian lebar

Masalahnya, fondasi pengawasan itu belum utuh. Indonesia sudah memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (PDP) dengan masa transisi dua tahun yang berakhir pada Oktober 2024. Namun hingga 8 November 2026, lembaga pengawasnya belum juga beroperasi. Pada 4 November, Kementerian Komunikasi dan Digital menyatakan bahwa rancangan peraturan presiden untuk membentuk lembaga itu telah diserahkan kepada Presiden.

Kesenjangan itu tidak kecil. Menurut ELSAM, Kementerian mencatat 294 laporan pelanggaran atau kegagalan pelindungan data pribadi sejak 2019. Angka tersebut memang tidak bisa langsung disamakan dengan jumlah pelanggaran yang terbukti, tetapi justru menyorot kebutuhan akan pengawasan yang kredibel dan mekanisme pemulihan hak bagi korban.

Sebagai pembanding, Uni Eropa lewat GDPR menekankan minimisasi data, pembatasan tujuan, akuntabilitas, serta pengawasan oleh otoritas pelindungan data. Singapura memiliki Komisi Pelindungan Data Pribadi untuk sektor swasta, sementara data sektor publik diatur terpisah. Modelnya berbeda-beda, tetapi pelajarannya sama: kewenangan mengelola data mensyaratkan pengawasan yang jelas, efektif, dan terpercaya.

Empat agenda mendesak

Dari kerangka itu, setidaknya empat agenda dinilai mendesak. Pertama, mengoperasionalkan lembaga pengawas PDP dengan independensi fungsional, sumber daya yang memadai, dan kewenangan memeriksa, termasuk terhadap pengendali data publik.

Kedua, memperjelas pengawasan penyadapan: dasar hukum, mekanisme perizinan, pembatasan target, durasi, hingga audit atas penggunaan perangkat penyadap.

Ketiga, mewajibkan privacy by design pada Coretax dan sistem digital pemerintah — meminimalkan pengumpulan data, memisahkan hak akses, melindungi audit trail, serta menjalankan pengujian keamanan secara berkala.

Keempat, memastikan notifikasi insiden sesuai aturan, kemudahan pengaduan, pemulihan bagi korban, dan akuntabilitas yang dapat ditegakkan.

Pasal 28G ayat (1) UUD 1945 menjamin hak atas keamanan dan keselamatan pribadi. Prinsipnya sederhana: hak warga tidak cukup hanya dijamin di atas kertas, tetapi harus bisa ditegakkan ketika pengendali data — termasuk lembaga publik — gagal memenuhi kewajibannya.

Kasus penyadapan yang dituduhkan terhadap Presiden ini sebaiknya menjadi momentum untuk memperkuat perlindungan seluruh warga, bukan sekadar komunikasi para pejabat. Privasi bukanlah hak istimewa bagi orang-orang berkuasa, melainkan fondasi kepercayaan yang memungkinkan ekonomi digital, perbankan, dan layanan publik tumbuh. Sebuah negara yang rule of law tidak diukur dari banyaknya informasi yang bisa dikumpulkannya, melainkan dari ketegasannya membatasi penggunaan informasi itu.